Kennisbank · E-mail

DKIM testen: zo controleert u het en lost u fouten op

DKIM testen doet u via een checker of de kopregels van een mail. Ik leg uit wat dkim=pass en dkim=fail betekenen en hoe u een fout oplost.

30 oktober 2026E-mail

Deel op Facebook Overzicht Acties

DKIM testen is de beste manier om te zien of uw mail onderweg als echt wordt herkend.

Kort antwoord

U kunt DKIM testen door uzelf een mail te sturen op een Gmail- of Outlook.com-adres en in de kopregels te zoeken naar dkim=pass met uw eigen domein erachter. U kunt ook het DKIM-record opzoeken met een online checker, maar daarvoor moet u de selector weten. Staat er dkim=fail of dkim=none, dan ontbreekt het record, is het verkeerd overgenomen of is DKIM bij uw maildienst nog niet aangezet.

Wat u test bij DKIM

DKIM zet een digitale handtekening op elke uitgaande mail. De bijbehorende sleutel staat in uw DNS onder een selector, een naam die uw maildienst kiest. Het record staat dan op selector._domainkey.uwdomein.nl. Bij Microsoft 365 heten de selectors bijvoorbeeld selector1 en selector2. Bij andere diensten is het iets anders. De selector vindt u in de instellingen van uw maildienst of in de kopregels van een verstuurde mail, achter s= in de regel DKIM-Signature.

De uitgebreide uitleg over DKIM staat in "SPF, DKIM en DMARC uitgelegd in gewone taal".

DKIM testen met een echte mail

Dit is de betrouwbaarste test, omdat u ziet wat een ontvanger ziet.

Stuur vanaf uw zakelijke adres een gewone mail naar een privé-adres bij Gmail of Outlook.com.
In Gmail: open de mail, klik op de drie puntjes en kies "Origineel weergeven". Bovenaan ziet u SPF, DKIM en DMARC met PASS of FAIL.
In Outlook.com of Outlook op de computer: bekijk de berichtbron of de eigenschappen en zoek naar Authentication-Results.
Kijk niet alleen naar pass, maar ook naar het domein achter header.d= of d=. Staat daar het domein van uw maildienst in plaats van uw eigen domein, dan tekent de dienst wel, maar niet namens u. Voor DMARC telt dan alleen SPF.

Test ook elke andere dienst die namens u mailt: uw webshop, factuurprogramma en nieuwsbrief. Elk systeem heeft zijn eigen DKIM-instelling.

Wat de uitkomsten betekenen

dkim=pass: de handtekening klopt. Goed.
dkim=none: er zat geen handtekening op. DKIM is bij de dienst niet ingeschakeld.
dkim=fail: er zat wel een handtekening op, maar die klopt niet. Of de sleutel in de DNS is anders, of de mail is onderweg gewijzigd.
dkim=temperror of permerror: de sleutel kon niet worden opgehaald of is ongeldig.

Wat te doen bij een fout

Record ontbreekt of DKIM staat uit. Bij Microsoft 365 en Google Workspace moet u DKIM vaak zelf aanzetten nadat u de records heeft aangemaakt. Bij Google Workspace doet u dat in de beheerconsole onder de instellingen voor Gmail; bij Microsoft 365 in het beveiligingsportaal. Zet het record eerst in de DNS, wacht tot het zichtbaar is, en activeer dan.
Record verkeerd overgenomen. DKIM-sleutels zijn lang. Bij kopiëren valt er soms een stuk af, of komen er spaties en aanhalingstekens bij. Sommige DNS-beheerders knippen lange waarden in stukken; dat mag, zolang de delen samen de volledige sleutel vormen. Vergelijk de waarde in de checker teken voor teken met wat uw maildienst opgeeft.
Verkeerde naam. Een veelvoorkomende fout is dat het domein dubbel in de naam komt, zoals selector1._domainkey.uwdomein.nl.uwdomein.nl. Veel DNS-schermen plakken het domein er zelf al achter.
Mail wordt onderweg aangepast. Een virusscanner, een automatische disclaimer of een mailinglijst die tekst toevoegt, kan de handtekening breken. Dan ziet u fail terwijl het record goed is.
Oude sleutel na een verhuizing. Na een overstap naar een andere maildienst blijven soms oude DKIM-records staan. Die zijn onschuldig zolang de nieuwe dienst een eigen selector gebruikt, maar ruim ze wel op.

Veelgestelde vragen

Kan ik DKIM testen zonder de selector te weten?

Met een checker niet, want die zoekt op naam. Stuur daarom eerst een mail naar uzelf en lees de selector uit de kopregels, of kijk in de instellingen van uw maildienst.

Hoe lang duurt het voordat een nieuw DKIM-record werkt?

Meestal is het binnen een uur zichtbaar, soms duurt het langer. Activeer DKIM bij uw maildienst pas als de checker het record vindt, anders weigert de dienst het vaak.